Datenraum DSGVO-konform 2026:
DE-Hosting, AVV und Sub-Auftragsverarbeiter
Welche Anforderungen stellt die DSGVO an einen virtuellen Datenraum? Dieser Leitfaden erklärt DE-Hosting, den Auftragsverarbeitungsvertrag nach Art. 28 DSGVO, Sub-Auftragsverarbeiter-Ketten und Drittlandtransfer, und zeigt, worauf Sie bei der Anbieterwahl konkret achten müssen.
Ein Datenraum ist DSGVO-konform, wenn er auf einem Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO basiert, Daten ausschließlich im EWR verarbeitet oder Drittlandtransfers durch Standardvertragsklauseln absichert und Sub-Auftragsverarbeiter transparent benennt. Deutsches Hosting vereinfacht die Compliance, ist aber keine gesetzliche Pflicht.
- AVV nach Art. 28 DSGVO ist die rechtliche Grundlage jeder Datenraum-Nutzung mit personenbezogenen Daten, kein optional abrufbares Dokument.
- DE-Hosting schließt Schrems-II-Risiken aus und vereinfacht die Compliance-Dokumentation erheblich.
- Sub-Auftragsverarbeiter brauchen Ihre schriftliche Genehmigung (Art. 28 Abs. 2 DSGVO), eine öffentliche Liste ist Best Practice.
- Drittlandtransfer in die USA erfordert Standardvertragsklauseln (SCC) plus Transfer-Folgenabschätzung (TIA) nach Schrems II.
- Papermark ist am besten für DSGVO-konforme Datenräume mit EU-Hosting in Frankfurt, signiertem AVV und DORA-Bereitschaft geeignet.
- 1. Was macht einen Datenraum DSGVO-konform?
- 2. DE-Hosting und EU-Rechenzentren
- 3. Der Auftragsverarbeitungsvertrag (AVV): Pflichtinhalte
- 4. Sub-Auftragsverarbeiter im Datenraum
- 5. Drittlandtransfer und Standardvertragsklauseln
- 6. Papermark: am besten für DSGVO-konforme Datenräume
- 7. Praxisbeispiel: Metallbau Kessler GmbH
- 8. Häufige Fehler bei DSGVO-Datenräumen
- 9. Häufige Fragen
1. Was macht einen Datenraum DSGVO-konform?
Die DSGVO enthält keine Regelung, die ausdrücklich auf „virtuelle Datenräume" abzielt. Sie gilt immer dann, wenn personenbezogene Daten verarbeitet werden, also Daten, die sich einer identifizierbaren natürlichen Person zuordnen lassen. In einer Due Diligence betrifft das Mitarbeiterlisten, Gehaltsstrukturen, Kundendaten, Geschäftsführerverträge oder Gesellschafterlisten. Das macht den AVV zur unverzichtbaren Grundlage der Datenraum-Nutzung.
Drei Voraussetzungen muss ein virtueller Datenraum erfüllen, damit er DSGVO-konform betrieben werden kann:
Der Datenraum-Anbieter verarbeitet personenbezogene Daten in Ihrem Auftrag. Dieser Auftragsverarbeitungsvertrag muss abgeschlossen sein, bevor die ersten Daten in den Raum geladen werden. Ein Anbieter ohne AVV-Angebot scheidet aus.
Daten dürfen nur in Länder des Europäischen Wirtschaftsraums (EWR) oder in Drittländer mit Angemessenheitsbeschluss der EU-Kommission übermittelt werden. Für alle anderen Länder, insbesondere die USA, sind Standardvertragsklauseln (SCC) plus eine Transfer-Folgenabschätzung (TIA) Pflicht.
Jeder Anbieter, den der Datenraum-Anbieter zur Leistungserbringung einsetzt (Hosting, E-Mail, Monitoring), ist ein Sub-Auftragsverarbeiter. Sie als Verantwortlicher müssen dem zustimmen und jederzeit wissen, wer Zugang zu Ihren Daten haben kann.
Daneben gelten die allgemeinen Anforderungen der DSGVO: Verarbeitungsverzeichnis nach Art. 30, Informationspflichten nach Art. 13/14 gegenüber betroffenen Personen sowie technische und organisatorische Maßnahmen (TOMs) nach Art. 32 DSGVO.
2. DE-Hosting und EU-Rechenzentren: warum der Standort zählt
Deutsches oder EU-Hosting ist keine gesetzliche Pflicht nach der DSGVO, aber es vereinfacht die Compliance-Dokumentation erheblich und schließt die größten Haftungsrisiken aus. Der Grund liegt in Art. 44 ff. DSGVO: Jede Übermittlung personenbezogener Daten in ein Drittland, also ein Land außerhalb des EWR, ist nur unter strengen Bedingungen zulässig.
Das EuGH-Urteil Schrems II (C-311/18, Juli 2020) hat das EU-US-Privacy-Shield-Abkommen für ungültig erklärt und klargestellt: Allein der Einsatz von US-Cloud-Anbietern als Sub-Auftragsverarbeiter kann einen Drittlandtransfer begründen, weil US-Recht (insbesondere FISA 702 und Executive Order 12333) US-Behörden weitreichende Zugriffsrechte gewährt. EU-Hosting mit ausschließlich europäischen Sub-Auftragsverarbeitern vermeidet dieses Risiko vollständig.
Für die Praxis bedeutet das: Prüfen Sie nicht nur, wo der Datenraum-Anbieter selbst hostet, sondern auch, wo dessen Sub-Auftragsverarbeiter sitzen. Ein Anbieter mit deutschem Hauptsitz, der für E-Mail-Versand oder Monitoring einen US-Dienst einsetzt, kann trotzdem ein Schrems-II-Risiko begründen.
3. Der Auftragsverarbeitungsvertrag (AVV): Pflichtinhalte nach Art. 28 DSGVO
Art. 28 DSGVO schreibt vor, dass der AVV schriftlich abgeschlossen werden muss, auch in elektronischer Form. Er bildet die rechtliche Grundlage, auf der der Auftragsverarbeiter (der Datenraum-Anbieter) personenbezogene Daten für Sie verarbeiten darf. Fehlt er, ist die Verarbeitung unrechtmäßig, unabhängig davon, wie gut der Anbieter technisch aufgestellt ist.
Die folgenden Pflichtinhalte muss jeder AVV nach Art. 28 Abs. 3 DSGVO enthalten. Prüfen Sie jeden Punkt beim nächsten Anbieterwechsel systematisch ab.
Der AVV muss klar benennen, welche Daten für welchen Zweck wie lange verarbeitet werden. Bei einem Datenraum: Bereitstellung eines gesicherten Dokumentenspeichers für Due-Diligence-Zwecke, für die Dauer des Vertragsverhältnisses.
Für eine M&A-Due-Diligence können das Mitarbeiterdaten (Arbeitsverträge, Gehaltsstruktur), Kundendaten und Geschäftsführerdaten sein. Besondere Kategorien nach Art. 9 DSGVO (Gesundheit, Gewerkschaftszugehörigkeit) sind explizit auszuweisen.
Der Anbieter darf die Daten nur nach Ihrer Weisung verarbeiten. Er muss sicherstellen, dass sein Personal zur Vertraulichkeit verpflichtet ist, und Sie unverzüglich informieren, wenn er eine Weisung für rechtswidrig hält.
Der AVV oder ein Anhang muss die konkreten Sicherheitsmaßnahmen benennen: Verschlüsselung (AES-256 at rest, TLS 1.2+ in transit), Zugriffskontrolle, Logging, Backup-Konzept und Zertifizierungen wie ISO/IEC 27001 oder SOC 2 Type II.
Der Anbieter darf Sub-Auftragsverarbeiter nur mit Ihrer vorherigen schriftlichen Genehmigung einsetzen. Üblich ist eine Listengenehmigung mit Ankündigungspflicht bei Änderungen (mind. 14-30 Tage Vorlaufzeit).
Der Anbieter muss Sie bei der Erfüllung von Betroffenenanfragen (Auskunft, Löschung, Berichtigung), bei Datenschutz-Folgenabschätzungen und bei der Zusammenarbeit mit der Aufsichtsbehörde unterstützen.
Nach Beendigung des Auftrags muss der Anbieter alle Daten löschen oder an Sie zurückgeben. Der AVV muss Format, Frist und Kosten der Datenrückgabe regeln. Das ist auch für den EU Data Act und DORA relevant.
Sie haben das Recht, den Anbieter selbst oder durch Beauftragte zu prüfen. Der Anbieter kann Drittauditoren (ISO 27001, SOC 2 Type II) als gleichwertigen Nachweis anbieten, was in der Praxis üblich und ausreichend ist.
4. Sub-Auftragsverarbeiter im Datenraum: Ketten richtig absichern
Fast kein Datenraum-Anbieter erbringt alle Leistungen selbst. Für Hosting, E-Mail-Zustellung, Zwei-Faktor-Authentifizierung, Monitoring, CDN oder KI-Funktionen greift er auf Drittanbieter zurück. Jeder dieser Drittanbieter ist ein Sub-Auftragsverarbeiter im Sinne von Art. 28 Abs. 2 DSGVO.
Die Konsequenz: Sie als Verantwortlicher müssen dem Einsatz dieser Sub-Auftragsverarbeiter zustimmen. In der Praxis geschieht das über eine Listengenehmigung im AVV: Sie genehmigen die zum Zeitpunkt des Vertragsschlusses aktive Sub-Auftragsverarbeiter-Liste und werden über Änderungen mit ausreichend Vorlaufzeit informiert, sodass Sie der Änderung widersprechen oder den Vertrag kündigen können.
Was Sie bei der Prüfung beachten sollten:
- ·Ist die Sub-Auftragsverarbeiter-Liste öffentlich zugänglich oder nur auf Anfrage verfügbar? Öffentliche Listen erleichtern Ihre Art-30-Dokumentation und sind ein Zeichen von Transparenz.
- ·Sitzen alle Sub-Auftragsverarbeiter im EWR, oder gibt es US-Dienste wie AWS, Google Cloud oder Twilio? Falls ja, brauchen Sie SCC und eine TIA.
- ·Wie lang ist die Ankündigungsfrist für neue Sub-Auftragsverarbeiter? 14 Tage ist ein Minimum, 30 Tage bieten Ihnen mehr Reaktionszeit.
- ·Gibt es einen vertraglichen Mechanismus, mit dem Sie einer neuen Sub-Auftragsverarbeiter-Änderung widersprechen können, ohne den Hauptvertrag sofort kündigen zu müssen?
- ·Sind die Sub-Auftragsverarbeiter selbst nach ISO/IEC 27001 oder SOC 2 zertifiziert, oder gibt es nur vertragliche Zusicherungen?
5. Drittlandtransfer und Standardvertragsklauseln: Schrems II in der Praxis
Eine Drittlandübermittlung liegt vor, wenn personenbezogene Daten in ein Land außerhalb des EWR übertragen werden, oder wenn ein Drittland-Anbieter faktischen Zugriff auf die Daten erlangen kann, etwa durch Fernwartung oder Support-Zugang aus den USA. Die DSGVO lässt Drittlandtransfers nur unter bestimmten Bedingungen zu (Art. 44 ff. DSGVO):
| Instrument | Rechtsgrundlage | Anforderungen |
|---|---|---|
| Angemessenheitsbeschluss | Art. 45 DSGVO | Die EU-Kommission stellt fest, dass das Drittland ein angemessenes Schutzniveau bietet (z. B. UK, Schweiz, Japan). Kein weiteres Zutun Ihrerseits nötig. |
| Standardvertragsklauseln (SCC) | Art. 46 Abs. 2 lit. c DSGVO | EU-Musterklauseln (Beschluss 2021/914/EU) plus Transfer Impact Assessment (TIA). Pflicht für USA und die meisten anderen Drittländer. |
| Verbindliche interne Datenschutzvorschriften (BCR) | Art. 46 Abs. 2 lit. b DSGVO | Konzernweite Datenschutzregeln, behördlich genehmigt. In der Praxis selten für Datenraum-Anbieter relevant. |
| Ausnahmen nach Art. 49 DSGVO | Art. 49 DSGVO | Nur für Einzelfälle: ausdrückliche Einwilligung, Vertragserfüllung oder wichtiges öffentliches Interesse. Kein taugliches Instrument für Dauerbetrieb. |
Die Transfer-Folgenabschätzung (Transfer Impact Assessment, TIA) ist keine Formalität, sondern eine substanzielle Risikoanalyse. Sie müssen dokumentieren, ob das Recht des Empfängerlandes die Wirksamkeit der SCC faktisch untergräbt. Für die USA bedeutet das konkret: Prüfen Sie, ob der Sub-Auftragsverarbeiter unter FISA 702 oder Executive Order 12333 zu Auskünften verpflichtet werden kann, und ob technische Maßnahmen (End-to-End- Verschlüsselung mit Schlüsseln, die ausschließlich bei Ihnen liegen) dieses Risiko wirksam mindern. Der Europäische Datenschutzausschuss (EDSA) hat in seinen Empfehlungen 01/2020 und 02/2020 konkrete Schutzmaßnahmen dokumentiert.
6. Papermark: am besten für DSGVO-konforme Datenräume mit DE/EU-Hosting
Papermark: EU-Hosting in Frankfurt, SOC 2 Type II, öffentliche Sub-Auftragsverarbeiter-Liste
Papermark ist ein Datenraum-Anbieter mit Sitz in München. Daten liegen standardmäßig in der EU (Frankfurt, eu-central-1), verschlüsselt mit AES-256 at rest und TLS 1.3 in transit. Der Anbieter ist SOC 2 Type II auditiert und ISO/IEC 27001 zertifiziert. Für die DSGVO-Compliance entscheidend: Papermark stellt einen signierten Auftragsverarbeitungsvertrag bereit und führt eine öffentliche Sub-Auftragsverarbeiter-Liste, die Ihre Art-30-Dokumentation erheblich vereinfacht. Mehr dazu direkt auf der Website von Papermark.
Für DORA-pflichtige Finanzunternehmen bietet Papermark als einziger Anbieter in diesem Markt eine echte Self-Hosting-Option auf eigener Infrastruktur. Damit lässt sich das IKT-Drittanbieterrisiko im Sinne von Art. 30 DORA eliminieren, weil der Datenraum-Betrieb vollständig in den eigenen Compliance-Perimeter fällt. Der quelloffene Code (Open Source) macht Sicherheitsaussagen unabhängig prüfbar.
Funktional deckt Papermark den kompletten DSGVO-Workflow ab: granulare Datei- und Ordnerberechtigungen, dynamisches Wasserzeichen mit Name, E-Mail und Zeitstempel, Screenshot-Schutz, One-Click-NDA vor dem Zugriff, IP-Allowlist und seitengenaue Analytik. Für die Dokumentation relevanter Datenzugriffe im Rahmen einer Due Diligence ist der unveränderbare Audit-Trail mit Zeitstempel und Seitengenauigkeit ein wesentliches Instrument.
Die Preise sind transparent und monatlich kündbar: Free 0 Euro, Pro 24 Euro pro Monat, Business 59 Euro pro Monat, Data Rooms 99 Euro pro Monat (unbegrenzte Datenräume, drei Teammitglieder), Enterprise auf Anfrage (SSO, Self-Hosting, dedizierter Support). Eine ausführliche technische Bewertung bietet der Papermark-Sicherheitscheck.
Wer mehrere Anbieter im direkten Vergleich sehen möchte, findet im vollständigen Anbietervergleich 2026 eine Feature-Matrix mit sieben deutschen Anbietern, Sicherheitszertifizierungen und Preistabelle.
7. Praxisbeispiel: Metallbau Kessler GmbH bei der M&A-Due-Diligence
Die fiktive Metallbau Kessler GmbH aus Augsburg, 85 Beschäftigte und rund 12 Millionen Euro Umsatz, soll an einen strategischen Erwerber aus der Schweiz verkauft werden. Die Käuferseite will im Rahmen der Due Diligence Einblick in Arbeitsverträge, Gehaltsstruktur und Kundendaten erhalten. Der Geschäftsführer der Metallbau Kessler GmbH steht vor einem klassischen DSGVO-Problem: Die geplante Datenweitergabe betrifft personenbezogene Daten von Mitarbeitern und Kunden, die eine Rechtsgrundlage erfordert.
Der beauftragte M&A-Berater empfiehlt folgende Vorgehensweise. Erstens wird ein Datenraum bei Papermark eingerichtet: Plan Data Rooms für 99 Euro pro Monat, EU-Hosting in Frankfurt, Aktivierung in unter einer Stunde. Noch vor dem Upload schließen beide Seiten den AVV ab, den Papermark digital bereitstellt. Der Berater trägt den Datenraum und Papermarks Sub-Auftragsverarbeiter in das Verarbeitungsverzeichnis der Metallbau Kessler GmbH ein.
Zweitens werden Mitarbeiterdaten vor dem Hochladen anonymisiert oder pseudonymisiert, soweit die Due-Diligence-Fragen keine personenbezogene Identifikation erfordern. Vollständige Personalakten landen nicht im Datenraum, nur aggregierte Gehaltsstrukturen und Musterarbeitsverträge. Drittens wird der schweizerische Erwerber nicht einfach eingeladen, sondern zunächst um ein NDA gebeten, das Papermark automatisch vor dem ersten Zugriff einblendet.
Die Schweiz verfügt über einen Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO), sodass kein Drittlandtransfer-Risiko besteht. Der Audit-Trail dokumentiert jeden Zugriff zeitgestempelt und seitengenau. Am Ende der Due Diligence wird der Erwerber-Zugang widerrufen, die Daten werden nach Vertragsende gelöscht und der Audit-Trail wird als Nachweis für die geordnete Datenweitergabe archiviert. Der gesamte Prozess ist in vier Werktagen aufgesetzt und entspricht vollständig den DSGVO-Anforderungen.
Weiterführende Hinweise zur Ordnerstruktur und zum Dokumenten-Index liefert der Leitfaden Datenraum einrichten: Schritt für Schritt.
8. Häufige Fehler bei DSGVO-Datenräumen
AVV erst nach dem Upload unterschreiben. Der Auftragsverarbeitungsvertrag muss abgeschlossen sein, bevor die ersten personenbezogenen Daten in den Datenraum geladen werden. Wer erst nach dem Upload unterschreibt, hat in der Zwischenzeit ohne Rechtsgrundlage verarbeitet. Das ist ein Bußgeldtatbestand nach Art. 83 Abs. 4 DSGVO.
Sub-Auftragsverarbeiter ignorieren. Viele Teams prüfen nur, wo der Datenraum-Anbieter selbst hostet, ohne die Sub-Auftragsverarbeiter-Kette zu analysieren. Ein Anbieter mit EU-Hosting, der für E-Mail-Zustellung oder KI-Funktionen einen US-Dienst einsetzt, kann trotzdem ein Schrems-II-Risiko begründen.
Personenbezogene Daten ungefiltert hochladen. In einer Due Diligence gehören vollständige Personalakten einzelner Mitarbeiter in der Regel nicht in den Käufer-Datenraum. Aggregierte Gehaltsstrukturen, Musterarbeitsverträge und Organigramme reichen für die meisten Due-Diligence-Fragen aus. Das Prinzip der Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO) gilt auch im Datenraum.
Kein Löschkonzept für Vertragsende. Was passiert mit den Daten, wenn die Due Diligence scheitert oder das Abonnement endet? Der AVV muss die Löschfristen regeln, und Sie sollten sicherstellen, dass der Anbieter die Daten nach Vertragsende tatsächlich löscht oder zurückgibt, nicht nur pauschal verspricht.
Audit-Trail nicht sichern. Der Zugriffsbericht belegt, wer welche Dokumente wann eingesehen hat. Er ist für Haftungsfragen und als Nachweis der geordneten Datenweitergabe wichtig. Exportieren Sie den Bericht vor Vertragsende und bewahren Sie ihn nach den handels- und steuerrechtlichen Aufbewahrungsfristen auf.
Häufige Fragen zu DSGVO-konformen Datenräumen
Muss ein Datenraum in Deutschland gehostet sein, um DSGVO-konform zu sein?
Nein, DSGVO-Konformität ist nicht an deutsches Hosting gebunden. Die DSGVO erlaubt Datenverarbeitung im gesamten Europäischen Wirtschaftsraum (EWR). Ausschließlich deutsches Hosting vereinfacht die Compliance-Dokumentation und schließt Schrems-II-Risiken aus, ist aber keine Pflicht, wenn EU-Hosting mit einem vollständigen AVV und einer geprüften Sub-Auftragsverarbeiter-Liste vorliegt.
Was muss ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO enthalten?
Der AVV muss mindestens regeln: Gegenstand, Dauer und Art der Verarbeitung, Zweck der Verarbeitung, Art der personenbezogenen Daten und Kategorien betroffener Personen, Pflichten und Rechte des Verantwortlichen, Weisungsgebundenheit des Auftragsverarbeiters, Vertraulichkeitspflichten, Sicherheitsmaßnahmen nach Art. 32 DSGVO, Regelungen zu Sub-Auftragsverarbeitern, Unterstützungspflichten bei Betroffenenrechten und Datenschutz-Folgenabschätzungen sowie Bedingungen für Löschung oder Rückgabe nach Vertragsende und Auditrecht des Verantwortlichen.
Was ist ein Sub-Auftragsverarbeiter und was muss ich dabei beachten?
Ein Sub-Auftragsverarbeiter (auch: Unterauftragnehmer) ist ein Dienstleister, den der Hauptauftragsverarbeiter zur Erfüllung seiner Leistungen einsetzt, zum Beispiel ein Cloud-Hosting-Anbieter oder ein E-Mail-Versanddienstleister. Nach Art. 28 Abs. 2 DSGVO darf der Auftragsverarbeiter Sub-Auftragsverarbeiter nur mit vorheriger schriftlicher Genehmigung des Verantwortlichen einsetzen. In der Praxis vereinbart man eine Listengenehmigung: Der Anbieter führt eine öffentliche Sub-Auftragsverarbeiter-Liste, und Änderungen müssen dem Verantwortlichen im Voraus angekündigt werden.
Was bedeutet das Schrems-II-Urteil für die Wahl eines Datenraum-Anbieters?
Das EuGH-Urteil Schrems II (C-311/18, Juli 2020) hat das EU-US-Privacy-Shield-Abkommen für ungültig erklärt. Für Datenräume bedeutet das: Wird ein Anbieter oder einer seiner Sub-Auftragsverarbeiter in den USA betrieben, braucht es Standardvertragsklauseln (SCC) nach dem Durchführungsbeschluss 2021/914/EU plus eine Transfer-Folgenabschätzung (Transfer Impact Assessment, TIA), die bewertet, ob US-Geheimdienste faktisch auf die Daten zugreifen können. EU- oder DE-Hosting mit ausschließlich europäischen Sub-Auftragsverarbeitern vermeidet dieses Risiko vollständig.
Welcher Datenraum ist am besten für DSGVO-konforme Due Diligence geeignet?
Papermark ist am besten für DSGVO-konforme Datenräume mit nachgewiesenem EU-Hosting, transparentem AVV und DORA-Bereitschaft geeignet. Daten liegen standardmäßig in Frankfurt (eu-central-1), der Anbieter stellt einen signierten AVV bereit und führt eine öffentliche Sub-Auftragsverarbeiter-Liste. Die Preise sind transparent: Free 0 Euro, Pro 24 Euro, Business 59 Euro, Data Rooms 99 Euro pro Monat, Enterprise auf Anfrage.
Was sind Standardvertragsklauseln (SCC) und wann brauche ich sie?
Standardvertragsklauseln sind von der EU-Kommission genehmigte Mustervertragsklauseln, die einen ausreichenden Datenschutz bei der Übermittlung personenbezogener Daten in Drittländer sicherstellen sollen (Art. 46 Abs. 2 lit. c DSGVO). Sie sind erforderlich, wenn ein Datenraum-Anbieter oder einer seiner Sub-Auftragsverarbeiter Daten in ein Land außerhalb des EWR überträgt, das kein Angemessenheitsbeschluss der EU-Kommission abdeckt. Die aktuellen SCC stammen aus dem Durchführungsbeschluss 2021/914/EU und ersetzen die älteren Muster.
Was ist eine Transfer-Folgenabschätzung (TIA) und wann ist sie Pflicht?
Eine Transfer Impact Assessment (TIA) ist eine Risikoanalyse, die bewertet, ob das Recht des Empfängerlandes die Wirksamkeit der SCC faktisch untergräbt, zum Beispiel durch weitreichende Überwachungsgesetze wie FISA 702 in den USA. Sie ist Pflicht, wann immer SCC eingesetzt werden, um einen Drittlandtransfer zu rechtfertigen. Die Datenschutzkonferenz (DSK) und der Europäische Datenschutzausschuss (EDSA) haben dazu Leitlinien veröffentlicht.